CN114969765A - 一种物联网设备无感安全漏洞修复方法、装置及设备 - Google Patents

Abstract

本申请提供一种物联网设备无感安全漏洞修复方法、装置及设备，该方法包括：获取目标文件，目标文件包括目标基础函数，从目标基础函数中获取初始参数特征，基于初始参数特征确定目标隐性参数特征；若映射关系表存在目标隐性参数特征对应的目标漏洞修复代码，则为目标基础函数添加目标漏洞修复代码，以使物联网设备在运行目标基础函数之前，运行目标漏洞修复代码，以通过目标漏洞修复代码对目标基础函数进行漏洞修复，运行漏洞修复后的目标基础函数；映射关系表包括隐性参数特征与漏洞修复代码之间的对应关系，该隐性参数特征用于隐藏漏洞基础函数中的漏洞点参数特征。通过本申请的技术方案，可防止漏洞信息泄露，避免攻击者轻易定位到漏洞函数。

Description

一种物联网设备无感安全漏洞修复方法、装置及设备

技术领域

本申请涉及信息安全技术领域，尤其是涉及一种物联网设备无感安全漏洞修复方法、装置及设备。

背景技术

安全漏洞是在硬件、软件、协议的具体实现或者系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统，是受限制的计算机、组件、应用程序或其它联机资源的无意中留下的不受保护的入口点。

为了对设备进行安全保护，需要对安全漏洞进行漏洞修复，通过漏洞修复解决安全问题。漏洞修复技术的关键步骤为定位漏洞函数，在定位出漏洞函数之后，可以对漏洞函数进行漏洞修复。其中，定位漏洞函数的方式包括：通过静态特征定位漏洞函数，如通过对文件进行扫描，搜索文件中特征，若特征与已配置静态特征匹配，则定位到漏洞函数。通过动态特征定位漏洞函数，如程序运行时，对加载方式、加载地址等动态特征进行定位，从而定位到漏洞函数。

但是，无论是静态特征定位漏洞函数还是动态特征定位漏洞函数，均需要采用漏洞修复程序对安全漏洞进行漏洞修复，而攻击者可以通过逆向分析漏洞修复程序进而轻易定位到漏洞函数，从而造成漏洞信息的泄露。

发明内容

本申请提供一种物联网设备无感安全漏洞修复方法，所述方法包括：

获取目标文件，所述目标文件包括目标基础函数，从所述目标基础函数中获取初始参数特征，基于所述初始参数特征确定目标隐性参数特征；

若映射关系表存在所述目标隐性参数特征对应的目标漏洞修复代码，则为所述目标基础函数添加所述目标漏洞修复代码，以使物联网设备在运行所述目标基础函数之前，运行所述目标漏洞修复代码，以通过所述目标漏洞修复代码对所述目标基础函数进行漏洞修复，运行漏洞修复后的目标基础函数；

其中，所述映射关系表包括隐性参数特征与漏洞修复代码之间的对应关系，该隐性参数特征用于隐藏漏洞基础函数中的漏洞点参数特征。

本申请提供一种物联网设备无感安全漏洞修复装置，所述装置包括：

获取模块，用于获取目标文件，所述目标文件包括目标基础函数，并从所述目标基础函数中获取初始参数特征；

确定模块，用于基于所述初始参数特征确定目标隐性参数特征；

处理模块，用于若映射关系表存在所述目标隐性参数特征对应的目标漏洞修复代码，则为所述目标基础函数添加所述目标漏洞修复代码，以使物联网设备在运行所述目标基础函数之前，运行所述目标漏洞修复代码，以通过所述目标漏洞修复代码对所述目标基础函数进行漏洞修复，运行漏洞修复后的目标基础函数；其中，所述映射关系表包括隐性参数特征与漏洞修复代码之间的对应关系，该隐性参数特征用于隐藏漏洞基础函数中的漏洞点参数特征。

本申请提供一种物联网设备，包括：处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令；所述处理器用于执行机器可执行指令，以实现上述的物联网设备无感安全漏洞修复方法。

由以上技术方案可见，本申请实施例中，若存在目标基础函数对应的目标隐性参数特征对应的目标漏洞修复代码，则确定目标基础函数是漏洞函数，且为目标基础函数添加目标漏洞修复代码，从而基于目标漏洞修复代码对目标基础函数进行漏洞修复，即将目标漏洞修复代码添加到目标基础函数中进行漏洞修复，通过重写目标基础函数的方式进行漏洞修复，修复过程中通过隐性参数特征隐藏漏洞点的信息，使漏洞信息不易泄露，可防止漏洞信息泄露。不需要采用漏洞修复程序对安全漏洞进行漏洞修复，而是为目标基础函数添加目标漏洞修复代码，避免攻击者通过逆向分析漏洞修复程序进而轻易定位到漏洞函数。

附图说明

为了更加清楚地说明本申请实施例或者现有技术中的技术方案，下面将对本申请实施例或者现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据本申请实施例的这些附图获得其他的附图。

图1是本申请中的物联网设备无感安全漏洞修复方法的流程示意图；

图2是本申请中的物联网设备无感安全漏洞修复方法的流程示意图；

图3是本申请中的物联网设备无感安全漏洞修复方法的流程示意图；

图4是本申请中的物联网设备无感安全漏洞修复装置的结构示意图；

图5是本申请一种实施方式中的物联网设备的硬件结构图。

具体实施方式

在本申请实施例使用的术语仅仅是出于描述特定实施例的目的，而非限制本申请。本申请和权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其它含义。还应当理解，本文中使用的术语“和/或”是指包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请实施例可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，此外，所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

本申请实施例中提出一种物联网设备无感安全漏洞修复方法，该方法可以应用于物联网设备，参见图1所示，为该方法的流程示意图，该方法可以包括：

步骤101、获取目标文件，该目标文件包括目标基础函数。

示例性的，目标文件是需要进行漏洞修复的每个文件，将需要进行漏洞修复的文件称为目标文件。目标文件可以包括多个基础函数，目标基础函数是需要分析是否为漏洞函数的基础函数，比如说，若需要分析某个基础函数是否为漏洞函数，则将这个基础函数称为目标基础函数，可以将所有基础函数均作为目标基础函数，也可以将部分基础函数作为目标基础函数，对此不做限制。

步骤102、从目标基础函数中获取初始参数特征。

示例性的，可以获取已配置的特征类型，并从目标基础函数中获取与该特征类型对应的初始参数特征。其中，该特征类型可以包括但不限于以下至少一种：基础函数的参数类型、基础函数的参数值、基础函数的参数冗余值。

步骤103、基于初始参数特征确定目标隐性参数特征。

示例性的，可以对初始参数特征进行hash运算，得到目标隐性参数特征；或者，可以对初始参数特征进行加密运算，得到目标隐性参数特征。

步骤104、若映射关系表存在该目标隐性参数特征对应的目标漏洞修复代码，则为目标基础函数添加该目标漏洞修复代码，以使物联网设备在运行目标基础函数之前，运行该目标漏洞修复代码，以通过该目标漏洞修复代码对目标基础函数进行漏洞修复，这样，物联网设备可以运行漏洞修复后的目标基础函数。

示例性的，为目标基础函数添加该目标漏洞修复代码，可以包括：在目标基础函数之前添加该目标漏洞修复代码，即目标漏洞修复代码位于目标基础函数的前面，这样，在运行目标基础函数之前，就会先运行目标漏洞修复代码。

在一种可能的实施方式中，映射关系表可以包括隐性参数特征与漏洞修复代码之间的对应关系，该隐性参数特征用于隐藏漏洞基础函数中的漏洞点参数特征。基于此，在步骤101之前，还需要生成映射关系表，而映射关系表的生成过程，可以包括但不限于：从样本文件中获取预设漏洞类型对应的漏洞基础函数；从漏洞基础函数中获取漏洞点参数特征；基于该漏洞点参数特征确定隐性参数特征；其中，该隐性参数特征用于隐藏该漏洞基础函数中的漏洞点参数特征。获取用于对漏洞基础函数进行漏洞修复的漏洞修复代码。在映射关系表中记录该隐性参数特征与该漏洞修复代码之间的对应关系。

示例性的，预设漏洞类型可以包括但不限于以下至少一种：命令注入漏洞类型、格式化字符串漏洞类型、缓冲区溢出漏洞类型。其中，命令注入漏洞类型对应的漏洞基础函数可以包括但不限于以下至少一种：system基础函数、exec基础函数、popen基础函数。格式化字符串漏洞类型对应的漏洞基础函数可以包括但不限于：printf基础函数。缓冲区溢出漏洞类型对应的漏洞基础函数可以包括但不限于以下至少一种：strcpy基础函数、strncpy基础函数、sprintg基础函数、snprintf基础函数、vsprintf基础函数、vsnprintf基础函数。

示例性的，从漏洞基础函数中获取漏洞点参数特征，可以包括：获取已配置的特征类型，从漏洞基础函数中获取与该特征类型对应的漏洞点参数特征。

示例性的，基于该漏洞点参数特征确定隐性参数特征，可以包括但不限于如下方式：可以对该漏洞点参数特征进行hash运算，得到隐性参数特征；或者，可以对该漏洞点参数特征进行加密运算，得到隐性参数特征。

由以上技术方案可见，本申请实施例中，若存在目标基础函数对应的目标隐性参数特征对应的目标漏洞修复代码，则确定目标基础函数是漏洞函数，且为目标基础函数添加目标漏洞修复代码，从而基于目标漏洞修复代码对目标基础函数进行漏洞修复，即将目标漏洞修复代码添加到目标基础函数中进行漏洞修复，通过重写目标基础函数的方式进行漏洞修复，修复过程中通过隐性参数特征隐藏漏洞点的信息，使漏洞信息不易泄露，可防止漏洞信息泄露。不需要采用漏洞修复程序对安全漏洞进行漏洞修复，而是为目标基础函数添加目标漏洞修复代码，避免攻击者通过逆向分析漏洞修复程序进而轻易定位到漏洞函数。

以下结合具体应用场景，对本申请实施例的技术方案进行说明。

安全漏洞是在硬件、软件、协议的具体实现或者系统安全策略上存在的缺陷，本实施例中的安全漏洞是指软件中存在安全缺陷，即软件文件中存在安全缺陷，软件文件可以是程序代码文件或者固件文件，后续以文件为例进行说明。

当物联网设备运行存在安全漏洞的文件时，物联网设备可能存在安全隐患，因此，为了对物联网设备进行安全保护，需要对文件中的安全漏洞进行漏洞修复，通过漏洞修复解决物联网设备的安全隐患，保证运行过程的安全性。

漏洞修复技术的关键步骤为定位漏洞函数，定位漏洞函数的方式包括：通过静态特征定位漏洞函数，如对文件进行扫描，搜索文件中特征，若特征与已配置静态特征匹配，则定位到漏洞函数。通过动态特征定位漏洞函数，如程序运行时，对加载方式、加载地址等动态特征进行定位，从而定位到漏洞函数。

但是，无论是静态特征定位漏洞函数还是动态特征定位漏洞函数，均需要采用漏洞修复程序对安全漏洞进行漏洞修复，而攻击者可以通过逆向分析漏洞修复程序进而轻易定位到漏洞函数，从而造成漏洞信息的泄露。

比如说，物联网设备中的文件发生安全漏洞后，为了保证物联网设备的安全，通常厂商会发布漏洞补丁文件，而不会公布漏洞细节，但是，即使厂商没有公布漏洞细节，攻击者也可以通过逆向分析漏洞补丁文件，获取到漏洞函数的位置，即定位到漏洞函数，进而分析漏洞点，还原出漏洞细节。

针对上述发现，本申请实施例中提出一种物联网设备无感安全漏洞修复方法，通过重写目标基础函数的方式进行漏洞修复，修复过程中通过隐性参数特征隐藏漏洞点的信息，使漏洞信息不易泄露，可防止漏洞信息泄露。

本申请实施例中，为了实现物联网设备的无感安全漏洞修复，涉及映射关系表的构建过程和基于映射关系表的无感安全漏洞修复过程。其中，映射关系表的构建过程可以由物联网设备实现，即物联网设备构建映射关系表；或，映射关系表的构建过程也可以由服务器实现，即服务器构建映射关系表，在构建映射关系表之后，可以将映射关系表发送给物联网设备。基于映射关系表的无感安全漏洞修复过程可以由物联网设备实现，即物联网设备可以获取映射关系表，并基于映射关系表实现针对目标文件的无感安全漏洞修复。

在一种可能的实施方式中，为了实现映射关系表的构建过程，本申请实施例中提出一种物联网设备无感安全漏洞修复方法，该方法可以应用于物联网设备或者服务器，参见图2所示，为该方法的流程示意图，该方法可以包括：

步骤201、获取样本文件，该样本文件可以包括多个基础函数。

示例性的，样本文件是存在漏洞基础函数的文件，为了区分方便，将存在漏洞基础函数的文件称为样本文件。可以预先获取K个存在漏洞基础函数的样本文件，K可以为正整数，基于这些样本文件可以构建映射关系表。

示例性的，样本文件可以包括多个基础函数，基础函数即某编程语言（如C语言等）中自带函数库的函数，这些基础函数中可能存在漏洞基础函数，漏洞基础函数就是存在安全漏洞的基础函数，需要对漏洞基础函数进行漏洞修复。

比如说，若文件中的某个基础函数（如至少一个基础函数）存在安全漏洞，则将这个基础函数称为漏洞基础函数，可以将这个文件作为样本文件。

步骤202、从样本文件中获取预设漏洞类型对应的漏洞基础函数。

示例性的，可以配置预设漏洞类型，表示与预设漏洞类型对应的基础函数可能存在安全漏洞，对此预设漏洞类型不做限制，可以根据经验配置。比如说，预设漏洞类型包括但不限于以下至少一种：命令注入漏洞类型、格式化字符串漏洞类型、缓冲区溢出漏洞类型。当然，上述只是几个示例，对此不做限制。

示例性的，将与预设漏洞类型对应的基础函数称为漏洞基础函数，参见表1所示，命令注入漏洞类型对应的漏洞基础函数可以包括但不限于以下至少一种：system基础函数、exec基础函数、popen基础函数，当然，上述基础函数只是几个示例，对此不做限制。格式化字符串漏洞类型对应的漏洞基础函数可以包括但不限于：printf基础函数，当然，上述基础函数只是示例，对此不做限制。缓冲区溢出漏洞类型对应的漏洞基础函数可以包括但不限于以下至少一种：strcpy基础函数、strncpy基础函数、sprintg基础函数、snprintf基础函数、vsprintf基础函数、vsnprintf基础函数，当然，上述基础函数只是几个示例，对此不做限制。

表1

在步骤202中，可以依次遍历样本文件中的所有基础函数或者部分基础函数，针对当前遍历的基础函数，确定该基础函数是否为表1中的基础函数，如system基础函数、…、printf基础函数、...、strcpy基础函数等。若该基础函数为system基础函数，则可以确定该基础函数是命令注入漏洞类型对应的漏洞基础函数。若该基础函数为printf基础函数，则可以确定该基础函数是格式化字符串漏洞类型对应的漏洞基础函数。若该基础函数为strcpy基础函数，则确定该基础函数是缓冲区溢出漏洞类型对应的漏洞基础函数。若该基础函数不为表1中的基础函数，则可以确定该基础函数不是漏洞基础函数。

显然，对样本文件中的基础函数进行上述处理后，就可以从样本文件中获取预设漏洞类型对应的漏洞基础函数，漏洞基础函数可以为至少一个。

步骤203、从漏洞基础函数中获取漏洞点参数特征。

示例性的，可以获取已配置的特征类型，并从漏洞基础函数中获取与该特征类型对应的漏洞点参数特征。其中，该特征类型可以包括但不限于以下至少一种：基础函数的参数类型、基础函数的参数值、基础函数的参数冗余值。

比如说，基础函数的参数类型可以包括但不限于整型、字符型、指针等，在得到漏洞基础函数之后，可以获取该漏洞基础函数中的参数类型，如参数类型为“字符型”时，那么，漏洞点参数特征可以包括“字符型”。

比如说，基础函数的参数值是指特定字符或字符串，即这个基础函数的实际参数值，在得到漏洞基础函数之后，可以获取该漏洞基础函数中的参数值。

比如说，基础函数的参数冗余值是指：在基础函数中，有些参数对基础函数没有作用，专门用于标记漏洞点，这些参数称为冗余参数，而冗余参数的值就是参数冗余值（也称为冗余参数值），参数冗余值包括一段没有实际作用的值。在得到漏洞基础函数之后，可以获取该漏洞基础函数中的参数冗余值。

综上所述，在步骤203中，以特征类型包括基础函数的参数类型、基础函数的参数值、基础函数的参数冗余值为例进行说明，那么，在得到漏洞基础函数之后，可以获取该漏洞基础函数中的参数类型A1，并获取该漏洞基础函数中的参数值A2，并获取该漏洞基础函数中的参数冗余值A3，而参数类型A1、参数值A2和参数冗余值A3就是该漏洞基础函数中的漏洞点参数特征。

步骤204、基于该漏洞点参数特征确定隐性参数特征，该隐性参数特征用于隐藏该漏洞基础函数中的漏洞点参数特征，也就是说，即使攻击者能够获知该隐性参数特征，也无法反向推导出该隐性参数特征对应的漏洞点参数特征。

示例性的，在得到漏洞点参数特征之后，还可以对该漏洞点参数特征进行保护，得到隐性参数特征，以防止漏洞点参数特征泄露。在一种可能的实施方式中，为了对漏洞点参数特征进行保护，可以采用如下方式：

方式1、对漏洞点参数特征进行hash运算，得到隐性参数特征。例如，漏洞点参数特征包括参数类型A1、参数值A2和参数冗余值A3，可以对参数类型A1、参数值A2和参数冗余值A3的整体进行hash运算，得到隐性参数特征B1。

示例性的，hash运算（哈希运算）是一种将给定数据转换为固定长度字符串的过程，而该过程不可逆，因此，在对参数类型A1、参数值A2和参数冗余值A3的整体进行hash运算之后，基于隐性参数特征B1无法反向还原出参数类型A1、参数值A2和参数冗余值A3，也就是说，即使攻击者能够获知隐性参数特征B1，也无法反向推导出参数类型A1、参数值A2和参数冗余值A3，从而能够实现漏洞点参数特征的保护，避免漏洞点参数特征的泄露。

方式2、对漏洞点参数特征进行加密运算，得到隐性参数特征。例如，漏洞点参数特征包括参数类型A1、参数值A2和参数冗余值A3，可以对参数类型A1、参数值A2和参数冗余值A3的整体进行加密运算，得到隐性参数特征B1’。

比如说，可以采用非对称加密算法（如RSA加密算法等），对参数类型A1、参数值A2和参数冗余值A3的整体进行加密运算，得到隐性参数特征B1’。

示例性的，在采用非对称加密算法对参数类型A1、参数值A2和参数冗余值A3的整体进行加密运算之后，基于隐性参数特征B1’无法反向还原出参数类型A1、参数值A2和参数冗余值A3，也就是说，即使攻击者能够获知隐性参数特征B1’和密钥信息，也无法反向推导出参数类型A1、参数值A2和参数冗余值A3，从而能够实现漏洞点参数特征的保护，避免漏洞点参数特征的泄露。

当然，方式1和方式2只是两个示例，对此不做限制，只要能够对漏洞点参数特征进行保护，得到隐性参数特征，避免漏洞点参数特征泄露即可。

步骤205、获取用于对漏洞基础函数进行漏洞修复的漏洞修复代码。

对于漏洞基础函数来说，可以配置用于对该漏洞基础函数进行漏洞修复的漏洞修复代码，即该漏洞修复代码可以修复该漏洞基础函数的安全漏洞，对此漏洞修复代码不做限制，只要能够修复该漏洞基础函数的安全漏洞即可。

比如说，在配置漏洞修复代码时，可以参考该漏洞基础函数对应的预设漏洞类型（如命令注入漏洞类型、格式化字符串漏洞类型、缓冲区溢出漏洞类型等），即配置用于对该预设漏洞类型的安全漏洞进行漏洞修复的漏洞修复代码。

比如说，在配置漏洞修复代码时，可以参考该漏洞基础函数中的漏洞点参数特征（如参数类型A1、参数值A2和参数冗余值A3等），即配置用于对该漏洞点参数特征的安全漏洞进行漏洞修复的漏洞修复代码。

步骤206、在映射关系表中记录隐性参数特征与漏洞修复代码之间的对应关系，该映射关系表可以包括隐性参数特征与漏洞修复代码之间的对应关系。

比如说，针对每个漏洞基础函数，在得到该漏洞基础函数对应的隐性参数特征和漏洞修复代码之后，就可以在映射关系表中记录该隐性参数特征与该漏洞修复代码之间的对应关系，参见表2所示，为该映射关系表的示例。

表2

在一种可能的实施方式中，还可以在映射关系表中记录该漏洞基础函数对应的预设漏洞类型，比如说，参见表3所示，为该映射关系表的示例。

表3

至此，可以得到映射关系表，且映射关系表包括隐性参数特征与漏洞修复代码之间的对应关系，基于该映射关系表执行无感安全漏洞修复过程。

在一种可能的实施方式中，为了实现基于映射关系表的无感安全漏洞修复过程，本申请实施例中提出一种物联网设备无感安全漏洞修复方法，可以应用于物联网设备，参见图3所示，为该方法的流程示意图，该方法可以包括：

步骤301、获取目标文件，该目标文件包括目标基础函数。

示例性的，目标文件是需要进行漏洞修复的文件，为了区分方便，将需要进行漏洞修复的文件称为目标文件，目标文件可以是物联网设备中运行的所有文件，也可以是物联网设备中运行的部分文件，对此目标文件不做限制。

目标文件可以包括多个基础函数，基础函数即某编程语言（如C语言等）中自带函数库的函数，目标基础函数是需要分析是否存在安全漏洞的基础函数，比如说，若需要分析某个基础函数是否为漏洞基础函数，则可以将这个基础函数称为目标基础函数，本实施例中，可以将目标文件中的所有基础函数均作为目标基础函数，也可以将部分基础函数作为目标基础函数，对此不做限制。

步骤302、从目标基础函数中获取初始参数特征。

示例性的，可以获取已配置的特征类型，并从目标基础函数中获取与该特征类型对应的初始参数特征。其中，该特征类型可以包括但不限于以下至少一种：基础函数的参数类型、基础函数的参数值、基础函数的参数冗余值。

比如说，基础函数的参数类型可以包括但不限于整型、字符型、指针等，在得到目标基础函数之后，可以获取该目标基础函数中的参数类型，如参数类型为“字符型”时，那么，初始参数特征可以包括“字符型”。

比如说，基础函数的参数值是指特定字符或字符串，即这个基础函数的实际参数值，在得到目标基础函数之后，可以获取该目标基础函数中的参数值。

比如说，基础函数的参数冗余值是指：有些参数对基础函数没有作用，这些参数称为冗余参数，而冗余参数的值就是参数冗余值，即没有实际作用的值。在得到目标基础函数之后，可以获取该目标基础函数中的参数冗余值。

综上所述，在步骤302中，以特征类型包括基础函数的参数类型、基础函数的参数值、基础函数的参数冗余值为例进行说明，那么，在得到目标基础函数之后，可以获取该目标基础函数中的参数类型K1，并获取该目标基础函数中的参数值K2，并获取该目标基础函数中的参数冗余值K3，而参数类型K1、参数值K2和参数冗余值K3就是该目标基础函数中的初始参数特征。

步骤303、基于初始参数特征确定目标隐性参数特征。

示例性的，在得到初始参数特征之后，还可以对该初始参数特征进行保护，得到目标隐性参数特征，初始参数特征的保护方式与漏洞点参数特征的保护方式相同，比如说，为了对初始参数特征进行保护，可以采用如下方式：

方式1、若对漏洞点参数特征进行hash运算，得到隐性参数特征，那么，可以对初始参数特征进行hash运算，得到目标隐性参数特征。比如说，初始参数特征包括参数类型K1、参数值K2和参数冗余值K3，可以对参数类型K1、参数值K2和参数冗余值K3的整体进行hash运算，得到目标隐性参数特征。

方式2、若对漏洞点参数特征进行加密运算，得到隐性参数特征，那么，可以对初始参数特征进行加密运算，得到目标隐性参数特征。比如说，初始参数特征包括参数类型K1、参数值K2和参数冗余值K3，可以对参数类型K1、参数值K2和参数冗余值K3的整体进行加密运算，得到目标隐性参数特征。

步骤304、判断映射关系表是否存在该目标隐性参数特征对应的目标漏洞修复代码，如果否，则可以执行步骤305，如果是，则可以执行步骤306。

示例性的，在得到目标隐性参数特征之后，可以通过目标隐性参数特征查询表2所示的映射关系表。若映射关系表中存在该目标隐性参数特征，则可以从映射关系表中查询到该目标隐性参数特征对应的漏洞修复代码，将该漏洞修复代码记为目标漏洞修复代码。若映射关系表中不存在该目标隐性参数特征，则不会从映射关系表中查询到该目标隐性参数特征对应的漏洞修复代码。

步骤305、在运行目标基础函数时，直接运行目标基础函数。

示例性的，物联网设备在运行目标文件的过程中，在物联网设备运行到目标基础函数时，直接运行目标基础函数。由于映射关系表中不存在目标基础函数对应的目标隐性参数特征，因此，目标基础函数不是漏洞基础函数，可以直接运行目标基础函数，且在运行目标基础函数时不存在安全漏洞。

步骤306、为目标基础函数添加目标漏洞修复代码，以使物联网设备在运行目标基础函数之前，运行该目标漏洞修复代码，以通过该目标漏洞修复代码对目标基础函数进行漏洞修复，使物联网设备运行漏洞修复后的目标基础函数。

示例性的，为目标基础函数添加目标漏洞修复代码，可以包括：在目标基础函数之前添加该目标漏洞修复代码，即目标漏洞修复代码位于目标基础函数的前面，这样，在运行目标基础函数之前，就会先运行目标漏洞修复代码。

示例性的，物联网设备在运行目标文件的过程中，在物联网设备运行到目标基础函数时，由于目标基础函数的前面为目标漏洞修复代码，因此，物联网设备先运行目标漏洞修复代码，由于目标漏洞修复代码用于对目标基础函数进行漏洞修复，因此，在运行目标漏洞修复代码时，就可以对目标基础函数进行漏洞修复，得到漏洞修复后的目标基础函数。在目标漏洞修复代码运行完成之后，物联网设备继续运行目标漏洞修复代码之后的目标基础函数（已经是漏洞修复后的目标基础函数），即运行漏洞修复后的目标基础函数。显然，由于是运行漏洞修复后的目标基础函数，即漏洞修复后的目标基础函数不是漏洞基础函数，因此，在运行漏洞修复后的目标基础函数时不存在安全漏洞。

综上可以看出，本实施例中，物联网设备在运行目标基础函数时，不会运行存在安全漏洞的目标基础函数，避免造成安全隐患，提高运行的安全性。

由以上技术方案可见，本申请实施例中，若存在目标基础函数对应的目标隐性参数特征对应的目标漏洞修复代码，则确定目标基础函数是漏洞函数，且为目标基础函数添加目标漏洞修复代码，从而基于目标漏洞修复代码对目标基础函数进行漏洞修复，即将目标漏洞修复代码添加到目标基础函数中进行漏洞修复，通过重写目标基础函数的方式进行漏洞修复，修复过程中通过隐性参数特征隐藏漏洞点的信息，使漏洞信息不易泄露，可防止漏洞信息泄露。不需要采用漏洞修复程序对安全漏洞进行漏洞修复，而是为目标基础函数添加目标漏洞修复代码，避免攻击者通过逆向分析漏洞修复程序进而轻易定位到漏洞函数。

由于映射关系表中记录的是隐性参数特征，且隐性参数特征用于隐藏漏洞基础函数中的漏洞点参数特征，因此，即使攻击者能够获知映射关系表，且从映射关系表中获知该隐性参数特征，也无法反向推导出该隐性参数特征对应的漏洞点参数特征，从而对漏洞点参数特征进行保护，避免攻击者获知漏洞点参数特征之后，基于漏洞点参数特征对基础函数的漏洞点进行定位。

基于与上述方法同样的申请构思，本申请实施例中提出一种物联网设备无感安全漏洞修复装置，可以应用于物联网设备，参见图4所示，为所述物联网设备无感安全漏洞修复装置的结构示意图，所述装置可以包括：

获取模块41，用于获取目标文件，所述目标文件包括目标基础函数，并从所述目标基础函数中获取初始参数特征；

确定模块42，用于基于所述初始参数特征确定目标隐性参数特征；

处理模块43，用于若映射关系表存在所述目标隐性参数特征对应的目标漏洞修复代码，则为所述目标基础函数添加所述目标漏洞修复代码，以使物联网设备在运行所述目标基础函数之前，运行所述目标漏洞修复代码，以通过所述目标漏洞修复代码对所述目标基础函数进行漏洞修复，运行漏洞修复后的目标基础函数；其中，所述映射关系表包括隐性参数特征与漏洞修复代码之间的对应关系，该隐性参数特征用于隐藏漏洞基础函数中的漏洞点参数特征。

示例性的，所述获取模块41从所述目标基础函数中获取初始参数特征时具体用于：获取已配置的特征类型，并从所述目标基础函数中获取与所述特征类型对应的所述初始参数特征；其中，所述特征类型包括以下至少一种：基础函数的参数类型、基础函数的参数值、基础函数的参数冗余值。

示例性的，所述确定模块42基于所述初始参数特征确定目标隐性参数特征时具体用于：对所述初始参数特征进行hash运算，得到所述目标隐性参数特征；或者，对所述初始参数特征进行加密运算，得到所述目标隐性参数特征。

示例性的，所述处理模块43为所述目标基础函数添加所述目标漏洞修复代码时具体用于：在所述目标基础函数之前添加所述目标漏洞修复代码。

示例性的，所述处理模块43还用于生成所述映射关系表，所述处理模块43生成所述映射关系表时具体用于：从样本文件中获取预设漏洞类型对应的漏洞基础函数；从所述漏洞基础函数中获取漏洞点参数特征；基于所述漏洞点参数特征确定隐性参数特征；所述隐性参数特征用于隐藏所述漏洞基础函数中的所述漏洞点参数特征；获取用于对所述漏洞基础函数进行漏洞修复的漏洞修复代码；在映射关系表中记录该隐性参数特征与该漏洞修复代码之间的对应关系。

示例性的，预设漏洞类型包括以下至少一种：命令注入漏洞类型、格式化字符串漏洞类型、缓冲区溢出漏洞类型；命令注入漏洞类型对应的漏洞基础函数包括以下至少一种：system基础函数、exec基础函数、popen基础函数；格式化字符串漏洞类型对应的漏洞基础函数包括：printf基础函数；缓冲区溢出漏洞类型对应的漏洞基础函数包括以下至少一种：strcpy基础函数、strncpy基础函数、sprintg基础函数、snprintf基础函数、vsprintf基础函数、vsnprintf基础函数。

示例性的，所述处理模块43从所述漏洞基础函数中获取漏洞点参数特征时具体用于：获取已配置的特征类型，从所述漏洞基础函数中获取与所述特征类型对应的漏洞点参数特征；所述处理模块43基于所述漏洞点参数特征确定隐性参数特征时具体用于：对所述漏洞点参数特征进行hash运算，得到所述隐性参数特征；或者，对所述漏洞点参数特征进行加密运算，得到所述隐性参数特征。

基于与上述方法同样的申请构思，本申请实施例提出一种物联网设备，参见图5所示，物联网设备包括处理器51和机器可读存储介质52，机器可读存储介质52存储有能够被处理器51执行的机器可执行指令；处理器51用于执行机器可执行指令，实现本申请上述示例公开的物联网设备无感安全漏洞修复方法。

基于与上述方法同样的申请构思，本申请实施例还提供一种机器可读存储介质，所述机器可读存储介质上存储有若干计算机指令，计算机指令被处理器执行时，能够实现本申请上述示例公开的物联网设备无感安全漏洞修复方法。

其中，上述机器可读存储介质可以是任何电子、磁性、光学或其它物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，机器可读存储介质可以是：RAM（Radom Access Memory，随机存取存储器）、易失存储器、非易失性存储器、闪存、存储驱动器（如硬盘驱动器）、固态硬盘、任何类型的存储盘（如光盘、dvd等），或者类似的存储介质，或者它们的组合。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和/或方框图来描述的。应理解可以由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其它可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其它可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

而且，这些计算机程序指令也可以存储在能引导计算机或其它可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或者多个流程和/或方框图一个方框或者多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其它可编程数据处理设备上，使得在计算机或者其它可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其它可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种物联网设备无感安全漏洞修复方法，其特征在于，所述方法包括：

获取目标文件，所述目标文件包括目标基础函数，从所述目标基础函数中获取初始参数特征，基于所述初始参数特征确定目标隐性参数特征；

若映射关系表存在所述目标隐性参数特征对应的目标漏洞修复代码，则为所述目标基础函数添加所述目标漏洞修复代码，以使物联网设备在运行所述目标基础函数之前，运行所述目标漏洞修复代码，以通过所述目标漏洞修复代码对所述目标基础函数进行漏洞修复，运行漏洞修复后的目标基础函数；

其中，所述映射关系表包括隐性参数特征与漏洞修复代码之间的对应关系，该隐性参数特征用于隐藏漏洞基础函数中的漏洞点参数特征。

2.根据权利要求1所述的方法，其特征在于，

所述从所述目标基础函数中获取初始参数特征，包括：

获取已配置的特征类型，并从所述目标基础函数中获取与所述特征类型对应的所述初始参数特征；其中，所述特征类型包括以下至少一种：基础函数的参数类型、基础函数的参数值、基础函数的参数冗余值。

3.根据权利要求1所述的方法，其特征在于，

所述基于所述初始参数特征确定目标隐性参数特征，包括：

对所述初始参数特征进行hash运算，得到所述目标隐性参数特征；或，

对所述初始参数特征进行加密运算，得到所述目标隐性参数特征。

4.根据权利要求1所述的方法，其特征在于，

所述为所述目标基础函数添加所述目标漏洞修复代码，包括：

在所述目标基础函数之前添加所述目标漏洞修复代码。

5.根据权利要求1-3任一所述的方法，其特征在于，

所述获取目标文件之前，所述映射关系表的生成过程，包括：

从样本文件中获取预设漏洞类型对应的漏洞基础函数；

从所述漏洞基础函数中获取漏洞点参数特征；

基于所述漏洞点参数特征确定隐性参数特征；其中，所述隐性参数特征用于隐藏所述漏洞基础函数中的所述漏洞点参数特征；

获取用于对所述漏洞基础函数进行漏洞修复的漏洞修复代码；

在映射关系表中记录该隐性参数特征与该漏洞修复代码之间的对应关系。

6.根据权利要求5所述的方法，其特征在于，所述预设漏洞类型包括以下至少一种：命令注入漏洞类型、格式化字符串漏洞类型、缓冲区溢出漏洞类型；

其中，所述命令注入漏洞类型对应的漏洞基础函数包括以下至少一种：system基础函数、exec基础函数、popen基础函数；所述格式化字符串漏洞类型对应的漏洞基础函数包括：printf基础函数；所述缓冲区溢出漏洞类型对应的漏洞基础函数包括以下至少一种：strcpy基础函数、strncpy基础函数、sprintg基础函数、snprintf基础函数、vsprintf基础函数、vsnprintf基础函数。

7.根据权利要求5所述的方法，其特征在于，

所述从所述漏洞基础函数中获取漏洞点参数特征，包括：获取已配置的特征类型，从所述漏洞基础函数中获取与所述特征类型对应的漏洞点参数特征；

所述基于所述漏洞点参数特征确定隐性参数特征，包括：

对所述漏洞点参数特征进行hash运算，得到所述隐性参数特征；或者，

对所述漏洞点参数特征进行加密运算，得到所述隐性参数特征。

8.一种物联网设备无感安全漏洞修复装置，其特征在于，所述装置包括：

获取模块，用于获取目标文件，所述目标文件包括目标基础函数，并从所述目标基础函数中获取初始参数特征；

确定模块，用于基于所述初始参数特征确定目标隐性参数特征；

处理模块，用于若映射关系表存在所述目标隐性参数特征对应的目标漏洞修复代码，则为所述目标基础函数添加所述目标漏洞修复代码，以使物联网设备在运行所述目标基础函数之前，运行所述目标漏洞修复代码，以通过所述目标漏洞修复代码对所述目标基础函数进行漏洞修复，运行漏洞修复后的目标基础函数；其中，所述映射关系表包括隐性参数特征与漏洞修复代码之间的对应关系，该隐性参数特征用于隐藏漏洞基础函数中的漏洞点参数特征。

9.根据权利要求8所述的装置，其特征在于，

其中，所述获取模块从所述目标基础函数中获取初始参数特征时具体用于：获取已配置的特征类型，并从所述目标基础函数中获取与所述特征类型对应的所述初始参数特征；其中，所述特征类型包括以下至少一种：基础函数的参数类型、基础函数的参数值、基础函数的参数冗余值；

其中，所述确定模块基于所述初始参数特征确定目标隐性参数特征时具体用于：对所述初始参数特征进行hash运算，得到所述目标隐性参数特征；或者，对所述初始参数特征进行加密运算，得到所述目标隐性参数特征；

其中，所述处理模块为所述目标基础函数添加所述目标漏洞修复代码时具体用于：在所述目标基础函数之前添加所述目标漏洞修复代码；

其中，所述处理模块还用于生成所述映射关系表，所述处理模块生成所述映射关系表时具体用于：从样本文件中获取预设漏洞类型对应的漏洞基础函数；从所述漏洞基础函数中获取漏洞点参数特征；基于所述漏洞点参数特征确定隐性参数特征；其中，所述隐性参数特征用于隐藏所述漏洞基础函数中的所述漏洞点参数特征；获取用于对所述漏洞基础函数进行漏洞修复的漏洞修复代码；在映射关系表中记录该隐性参数特征与该漏洞修复代码之间的对应关系；

其中，所述预设漏洞类型包括以下至少一种：命令注入漏洞类型、格式化字符串漏洞类型、缓冲区溢出漏洞类型；命令注入漏洞类型对应的漏洞基础函数包括以下至少一种：system基础函数、exec基础函数、popen基础函数；格式化字符串漏洞类型对应的漏洞基础函数包括：printf基础函数；缓冲区溢出漏洞类型对应的漏洞基础函数包括以下至少一种：strcpy基础函数、strncpy基础函数、sprintg基础函数、snprintf基础函数、vsprintf基础函数、vsnprintf基础函数；

其中，所述处理模块从所述漏洞基础函数中获取漏洞点参数特征时具体用于：获取已配置的特征类型，从所述漏洞基础函数中获取与所述特征类型对应的漏洞点参数特征；所述处理模块基于所述漏洞点参数特征确定隐性参数特征时具体用于：对所述漏洞点参数特征进行hash运算，得到所述隐性参数特征；或者，对所述漏洞点参数特征进行加密运算，得到所述隐性参数特征。

10.一种物联网设备，其特征在于，包括：处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令；所述处理器用于执行机器可执行指令，以实现权利要求1-7任一项所述的方法步骤。

Images